JSP使用過(guò)濾器防止Xss漏洞

更新時(shí)間：2019年04月17日 16:30:28 作者：smile_7x

這篇文章主要為大家詳細(xì)介紹了JSP使用過(guò)濾器防止Xss漏洞，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下

在用java進(jìn)行web業(yè)務(wù)開(kāi)發(fā)的時(shí)候，對(duì)于頁(yè)面上接收到的參數(shù)，除了極少數(shù)是步可預(yù)知的內(nèi)容外，大量的參數(shù)名和參數(shù)值都是不會(huì)出現(xiàn)觸發(fā)Xss漏洞的字符。而通常為了避免Xss漏洞，都是開(kāi)發(fā)人員各自在頁(yè)面輸出和數(shù)據(jù)入庫(kù)等地方加上各種各樣的encode方法來(lái)避免Xss問(wèn)題。而由于開(kāi)發(fā)人員的水平不一，加上在編寫(xiě)代碼的過(guò)程中安全意識(shí)的差異，可能會(huì)粗心漏掉對(duì)用戶輸入內(nèi)容進(jìn)行encode處理。針對(duì)這種大量參數(shù)是不可能出現(xiàn)引起Xss和SQL注入漏洞的業(yè)務(wù)場(chǎng)景下，因此可以使用一個(gè)適用大多數(shù)業(yè)務(wù)場(chǎng)景的通用處理方法，犧牲少量用戶體驗(yàn)，來(lái)避免Xss漏洞和SQL注入。

那就是利用Servlet的過(guò)濾器機(jī)制，編寫(xiě)定制的XssFilter，將request請(qǐng)求代理，覆蓋getParameter和getHeader方法將參數(shù)名和參數(shù)值里的指定半角字符，強(qiáng)制替換成全角字符。使得在業(yè)務(wù)層的處理時(shí)不用擔(dān)心會(huì)有異常輸入內(nèi)容。

XssFilter.java

package filter;
 
import java.io.IOException;
 
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
 
public class XssFilter implements Filter {
 
 public void init(FilterConfig config) throws ServletException {
 }
 
 public void doFilter(ServletRequest request, ServletResponse response,
 FilterChain chain) throws IOException, ServletException 
 {
 XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper(
 (HttpServletRequest) request);
 chain.doFilter(xssRequest, response);
}
 
 public void destroy() {
 }
}

XssHttpServletRequestWrapper.java

package filter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
 
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
 HttpServletRequest orgRequest = null;
 
 public XssHttpServletRequestWrapper(HttpServletRequest request) {
 super(request);
 orgRequest = request;
 }
 
 /**
 * 覆蓋getParameter方法，將參數(shù)名和參數(shù)值都做xss過(guò)濾。<br/>
 * 如果需要獲得原始的值，則通過(guò)super.getParameterValues(name)來(lái)獲取<br/>
 * getParameterNames,getParameterValues和getParameterMap也可能需要覆蓋
 */
 @Override
 public String getParameter(String name) {
 String value = super.getParameter(xssEncode(name));
 if (value != null) {
 value = xssEncode(value);
 }
 return value;
}
 
/**
 * 覆蓋getHeader方法，將參數(shù)名和參數(shù)值都做xss過(guò)濾。<br/>
 * 如果需要獲得原始的值，則通過(guò)super.getHeaders(name)來(lái)獲取<br/>
 * getHeaderNames 也可能需要覆蓋
*/
 @Override
 public String getHeader(String name) {
 
 String value = super.getHeader(xssEncode(name));
 if (value != null) {
 value = xssEncode(value);
 }
 return value;
}
 
/**
 * 將容易引起xss漏洞的半角字符直接替換成全角字符
 *
 * @param s
 * @return
*/
private static String xssEncode(String s) {
if (s == null || s.isEmpty()) {
return s;
}
 StringBuilder sb = new StringBuilder(s.length() + 16);
 for (int i = 0; i < s.length(); i++) {
 char c = s.charAt(i);
 switch (c) {
 case '>':
 sb.append('＞');//全角大于號(hào)
 break;
 case '<':
 sb.append('＜');//全角小于號(hào)
 break;
 case '\'':
 sb.append('‘');//全角單引號(hào)
 break;
 case '\"':
 sb.append('“');//全角雙引號(hào)
 break;
 case '&':
 sb.append('＆');//全角
 break;
 case '\\':
 sb.append('＼');//全角斜線
 break;
 case '#':
 sb.append('＃');//全角井號(hào)
 break;
 default:
 sb.append(c);
 break;
 }
}
 return sb.toString();
}
 
/**
* 獲取最原始的request
*
* @return
*/
public HttpServletRequest getOrgRequest() {
return orgRequest;
}
/**
* 獲取最原始的request的靜態(tài)方法
*
* @return
*/
 public static HttpServletRequest getOrgRequest(HttpServletRequest req) {
 if(req instanceof XssHttpServletRequestWrapper){
 return ((XssHttpServletRequestWrapper)req).getOrgRequest();
}
 
return req;
}
}

在web.xml中添加

<filter>
<filter-name>xssFilter</filter-name>
 <filter-class>filter.XssFilter</filter-class>
 </filter>
 <filter-mapping>
 <filter-name>xssFilter</filter-name>
 <url-pattern>/*</url-pattern>
</filter-mapping>

以上就是本文的全部?jī)?nèi)容，希望對(duì)大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。

您可能感興趣的文章: